一、核心承诺
纳棂把"你的数据只属于你"作为不可妥协的底线。本协议的每一条都围绕这一底线展开：你的邮箱、你的 AI 聊天记录、你的评论，都受到加密与严格隔离的保护；除你本人登录态及必要的系统运行外，任何人都无法读取，平台也绝不向任何其他用户或第三方泄露。
关于"邮箱是否会被泄露"——我们已在技术层面彻底堵住：公开评论接口不再向前端返回任何邮箱信息（包括掩码），数据库中邮箱以密文存储。下面是具体做法。
二、邮箱：加密存储，且永不对外泄露
这是用户最关心的问题，我们给出明确、可验证的回答：
- 加密存储你的邮箱在写入数据库时，会先用
AES-256-GCM 加密为密文（字段 emailEnc）后再落库；同时计算一个 SHA-256 哈希（字段 emailHash）仅用于查询匹配。新注册及后续产生的数据不再以明文保存邮箱。
- 永不泄露评论区、个人资料等所有面向其他用户的接口，都不会返回任何邮箱信息——既不会返回完整邮箱，也不会返回"前两位+域名"之类的掩码。他人在评论区只能看到你设置的昵称，看不到你的邮箱。
- 隔离访问后端每次读取、修改、删除你的数据，都会校验操作者身份与数据归属（
emailHash === 当前登录账号），不一致直接拒绝（返回 403）。管理员同样无法读取你的邮箱明文。
- 密钥隔离解密邮箱所需的密钥（
ENC_KEY）只存在于云端运行环境，不写入前端页面、不出现于公开源码、不随客户端下发。
简言之：他人通过接口只能拿到昵称，拿不到邮箱；数据库里你的邮箱是一串密文；即便直连数据库，没有云端密钥也无法还原。
三、AI 聊天记录：端到端式加密，按账号隔离
- 内容加密：你与纳棂的每一句对话，在写入数据库前都用
AES-256-GCM 加密（字段 contentEnc），密文落库。密钥仅在云端。
- 按邮箱绑定：每条聊天、每个对话都和你登录的邮箱绑定。数据库层面，系统只会返回"属于当前登录账号"的数据。
- 越权即拦：读取、发送、删除任意聊天前，后端都校验
对话归属 === 当前登录邮箱，否则返回 403。任何人都无法进入他人对话、读取他人聊天。
- 管理员也看不到：管理员账号的权限仅限于删除公开评论（见第七节），无权解密或阅读任何用户的私密聊天。加密机制对包括管理员在内的所有人都同样生效。
四、其他加密与安全原则
- 身份令牌（JWT）随机签名：你登录后获得的身份令牌由云端持有的随机密钥（
JWT_SECRET）签名，该密钥与加密密钥一样仅存于云端、未写入公开代码。第三方无法伪造他人身份来访问你的数据。
- 密钥绝不进源码/前端：所有密钥（
ENC_KEY、JWT_SECRET、各 API Key）均配置在云端环境变量，公开仓库与前端包中不存在任何可用密钥。
- 登录验证码保护：登录采用"邮箱 + 一次性验证码"，验证码有时效且单次有效；同一 IP 有频率限制，防止暴力破解。
- 第三方最小化：仅接入运行所必需的服务，全部列明如下：
- 腾讯云开发（CloudBase）：提供数据库存储与云函数运行环境，承载你的账号、聊天、评论等全部数据。
- 大模型服务（DeepSeek 等）：接收你发送的对话内容以生成回复；仅在对话发生时使用，不保留用于其他目的。
- 邮件服务：仅用于向你发送登录验证码，不向其提供明文邮箱用于营销。
- 内容安全审核服务（第三方 / 平台内置）：对你发布的公开评论、昵称等公开内容进行合规审核（含文本与图片涉政、涉黄、暴恐、广告、辱骂等识别）。审核仅作用于公开的、你主动发布的内容，不触及你的 AI 私密聊天；审核判定为违规的内容会被拦截或交由管理员处理。
我们不向上述任何第三方提供可识别到个人的明文邮箱用于营销，也不向其共享你的私密聊天记录。
- 评论内容公开可见：你在评论区发布的帖子本就是公开内容，会展示给所有访客（以昵称呈现），因此评论正文不单独加密——这是公开社区的固有属性，与私密聊天不同。
五、我们收集什么
- 账号标识（邮箱）：登录用，加密存储（见第二节）。
- 昵称与头像：可选项，用于评论区展示。
- AI 聊天内容：你与纳棂的对话，加密存储（见第三节）。
- 公开评论：你在评论区发布的帖子与点赞关系。
- 基础技术日志：登录 IP、时间、设备类型等，仅用于频率限制与安全防护，不做用户画像。
我们不收集真实姓名、身份证、银行卡、通讯录、精确地理位置等敏感信息，也不在聊天之外读取你设备上的其他文件。
六、信息如何使用
- 提供 AI 对话，并在你登录后向你展示你自己的历史聊天与评论。
- 向你发送登录验证码（仅此用途）。
- 在评论区以昵称展示你、维护点赞互动。
- 实施频率限制与安全防护，维护社区秩序。
我们不会将你的聊天内容、邮箱或评论用于广告投放，不会向广告商出售或交换你的个人信息。
七、数据保留与你的控制权
- 注销账号：在"个人资料"页可随时注销，系统将删除该邮箱名下的评论、点赞与资料，历史数据不可恢复。
- 删除单条评论：你可删除自己发布的任意评论。
- 管理员删评：仅管理员的特定邮箱拥有删除他人公开评论的权限，用于清理违规内容；该权限不延伸至读取聊天或邮箱。
八、违规行为与账号处置力度
为维护社区秩序与遵守国家法律法规（包括但不限于《网络安全法》《刑法》《网络信息内容生态治理规定》等），我们对发布违规内容的行为采取分级处置。以下力度公开透明，任何人可对照预期后果：
- 一级（轻微违规）：评论含轻度广告、无意义刷屏、轻微不友善用语等。处置：警告 + 删除该条内容；首次一般不封号，累计达 3 次升级处置。
- 二级（一般违规）：辱骂攻击他人、发布虚假信息、恶意引流、重复发布违规内容等。处置：封禁账号 1–7 天并清空相关评论；到期后自动解封，期间不可登录。
- 三级（严重违规）：涉黄、涉赌、诈骗信息、侵犯他人隐私（如泄露他人邮箱/手机号）、恶意骚扰等。处置：封禁账号 30 天或永久封禁，并删除全部违规内容。
- 四级（违法犯罪）：涉政违法、暴恐、儿童色情、组织违法活动、明确违法的诈骗/贩毒等信息。处置：立即永久封禁，保留相关日志与内容记录，并依法向有关主管部门报告、配合调查。
处置说明：① 封禁由系统审核命中或管理员核实后执行，管理员可对公开评论进行删除与必要的账号处置；② 被处置账号可通过"联系我们"申诉，我们会在 15 个工作日内复核；③ 账号一旦被判定四级违规，原则上不予解封，且平台保留向监管报送的义务。
九、未成年人保护
本服务主要面向成年用户。建议未成年人在监护人指导下使用。若我们发现收集了未获监护人同意的未成年人个人信息，会尽快删除。监护人可通过下方邮箱联系我们处理。
十、联系我们
对隐私协议、你的数据处理或权利行使有疑问、建议或投诉，请联系：
- 邮箱：furrynaling@outlook.com
- 我们将在收到后尽快（一般不超过 15 个工作日）答复与处理。
十一、协议更新
随着服务演进与法规变化，我们可能适时修订本协议，并在本页面更新"最后更新"日期，必要时通过站内提示或邮件通知。重大变更后继续使用本服务，即视为接受更新内容。
感谢你信任纳棂——守住你的每一份隐私，是我们的底层设计，而不只是一句承诺。